8-XXE漏洞

发表于

XML: eXtensible Markup Language, 可扩展标记语言

用作配置文件，交换数据

XML 格式要求：

  • 必须有根元素
  • 必须有关闭标签
  • 标签对大小写敏感
  • 元素必须被正确地嵌套
  • 属性必须加引号

XML 格式校验：
DTD: Document Type Definition, 文档类型定义

内部实体 internal entity
外部实体 external entity

如果 Web 应用的脚本代码没有限制 XML 引入外部实体，会导致用户可以插入外部实体，其中的内容会被服务器端执行，插入的代码可能导致任意文件读取、系统命令执行、内网端口探测、攻击内网网站等危害。

无回显利用：
DNSLog, http 接口参数写入文件